通过 vanna-ai/vanna 中的 Postgres SQL 进行快速注入进行本地文件读取 (LFI) (CVE-2024-5753)

admin 2024-07-09 07:57:54 Ali_nvd 来源:ZONE.CI 全球网 0 阅读模式
通过 vanna-ai/vanna 中的 Postgres SQL 进行快速注入进行本地文件读取 (LFI) (CVE-2024-5753)

CVE编号

CVE-2024-5753

利用情况

暂无

补丁情况

N/A

披露时间

2024-07-06
漏洞描述
vanna-ai的vanna版本v0.3.4在某些关键文件功能(如`pg_read_file()`)中存在SQL注入漏洞。该漏洞允许未经身份验证的远程用户通过Python Flask API利用暴露的SQL查询来读取受害服务器上的任意本地文件,包括敏感文件,如`/etc/passwd`。
解决建议
建议您更新当前系统或软件至最新版,完成漏洞的修复。
参考链接
https://huntr.com/bounties/a3f913d6-c717-4528-b974-26d8d9e839ca
CVSS3评分 7.5
  • 攻击路径 网络
  • 攻击复杂度 低
  • 权限要求 无
  • 影响范围 未更改
  • 用户交互 无
  • 可用性 无
  • 保密性 高
  • 完整性 无
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-ID 漏洞类型
CWE-200 信息暴露
- avd.aliyun.com
weinxin
版权声明
本站原创文章转载请注明文章出处及链接,谢谢合作!
N/A Ali_nvd

N/A

N/ACVE编号 CVE-2024-33862利用情况 暂无补丁情况 N/A披露时间 2024-07-06漏洞描述A buffer-management v
N/A Ali_nvd

N/A

N/ACVE编号 CVE-2024-39182利用情况 暂无补丁情况 N/A披露时间 2024-07-06漏洞描述An information disclo
N/A Ali_nvd

N/A

N/ACVE编号 CVE-2024-40594利用情况 暂无补丁情况 N/A披露时间 2024-07-06漏洞描述在 2024 年 7 月 5 日之前,Op
评论:0   参与:  0